La commission a été saisie par la ministre des affaires sociales et de la santé d'un projet d'arrêté modifiant l'arrêté du 6 février 2009 modifié portant création d'un traitement de données à caractère personnel dénommé « répertoire partagé des professionnels de santé » (RPPS).
Ce répertoire est un outil d'identification unique et pérenne des professionnels de santé quel que soit leur mode d'exercice.
Il vise à améliorer la qualité des données des différents organismes ayant besoin d'identifier les professionnels, d'affiner la connaissance notamment géographique et démographique des professionnels de santé, de simplifier les démarches des professionnels de santé en supprimant les procédures d'enregistrement redondantes. Il contribue aux procédures de délivrance et de mise à jour des cartes de professionnel de santé et permet la réalisation d'études et de recherches ainsi que la production de statistiques relatives à ces professionnels.
Le traitement de données à caractère personnel dénommé « RPPS » entre dans le champ d'application des dispositions de l'article 27-II (1°) de la loi du 6 janvier 1978 modifiée dans la mesure où il requiert une consultation du répertoire national d'identification des personnes physiques (RNPP) sans inclure le numéro d'inscription à ce répertoire.
L'Agence nationale des systèmes d'informations partagés en santé (ASIP Santé) est, en application de la convention constitutive du groupement d'intérêt public « ASIP Santé » approuvée par les arrêtés du 8 septembre 2009 et 9 décembre 2009, responsable du traitement de données à caractère personnel dénommé « RPPS ». En cela, l'ASIP Santé est tenue de respecter les conditions d'organisation et de mise en place du RPPS telles que définies par arrêté.
Le projet d'arrêté, soumis à l'avis de la commission, a pour objet de permettre l'application des dispositions du décret n° 2013-414 du 21 mai 2013 relatif à la transparence des avantages accordés par les entreprises produisant ou commercialisant des produits à finalité sanitaire et cosmétique destinés à l'homme.
En effet, l'arrêté du 6 février 2009 modifié portant création du RPPS doit être modifié afin de permettre aux entreprises produisant ou commercialisant des produits à finalité sanitaire destinés à l'homme mentionnées au II de l'article L. 5311-1 du code de la santé publique ou assurant des prestations associées à ces produits, de diffuser les données d'identification des professionnels de santé, les entreprises précitées ne comptant pas parmi les utilisateurs habilités à accéder et à rediffuser les données communicables au public, au sens des articles 7 et 8 de l'arrêté précité.
A titre liminaire, la commission prend acte que les modifications envisagées ne portent que sur les articles 6, 7 et 8 de l'arrêté actuellement en vigueur, respectivement relatifs, d'une part, aux modalités de consultation des données librement communicables au public, d'autre part, aux organismes habilités à avoir accès et à rediffuser les données communicables au public en consultation.
Pour mémoire, la commission rappelle qu'en application de l'article 5 (4°) de l'arrêté du 6 février 2009 portant création du « RPPS » les données communicables au public sont les suivantes :
« ― le numéro RPPS ;
― les noms et prénoms d'exercice ;
― la profession exercée ;
― les qualifications et titres professionnels correspondant à l'activité exercée ; et
― les coordonnées des structures d'exercice ».
L'article 1er du projet d'arrêté examiné, portant modification de l'article 6 de l'arrêté du 6 février 2009 précité, prévoit, en sus de la libre accessibilité des données communicables au public, l'extraction de celles-ci sous forme électronique, à l'exception des coordonnées professionnelles et des coordonnées des structures d'exercice (celles-ci ne pouvant faire l'objet que d'une consultation sous forme électronique).
L'extraction est définie à l'article 5 (6°) de l'arrêté du 6 février 2009 comme « toute opération de transfert permanent ou temporaire de la totalité ou d'une partie du contenu de la base de données du RPPS, selon les droits d'accès reconnus, sur tout autre support, par tout moyen et sous quelque forme que ce soit ».
La modification projetée a vocation à permettre aux entreprises soumises aux obligations issues du décret n° 2013-414 de procéder directement, sous forme électronique, aux extractions des données communicables au public pertinentes contenues au sein de la base de données « RPPS ».
A ce titre, la commission rappelle que les organismes, en leur qualité de responsables de traitements, qui auront accès en extraction aux données du RPPS doivent prendre toutes les mesures permettant de garantir l'intégrité et la confidentialité des données, conformément aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée.
L'article 2 du projet d'arrêté examiné ajoute les entreprises intéressées par le dispositif énoncé à l'article L. 1453-1 du code de la santé publique au nombre des organismes habilités à avoir accès aux données contenues dans le RPPS. La commission en prend acte.
L'article 3 du projet d'arrêté prévoit que les entreprises, intéressées par les dispositions issues du décret n° 2013-414 précité, « peuvent également rediffuser les données communicables au public, en consultation dans le cadre de l'application de l'article L. 1453-1 du code de la santé publique ».
En effet, comme la commission le relevait dans sa délibération n° 2012-467 du 13 décembre 2012 portant avis sur un projet de décret en Conseil d'Etat relatif à la transparence des avantages consentis par les entreprises produisant ou commercialisant des produits à finalité sanitaire et cosmétiques destinés à l'homme, le corollaire de l'obligation de transparence était que les entreprises en cause soient habilitées à rediffuser les données du RPPS.
La commission prend acte de la mise en conformité de l'arrêté « RPPS » avec les différents textes réglementaires applicables et se félicite de la restriction de l'habilitation ainsi accordée à l'application des dispositions législatives relatives aux avantages consentis aux entreprises.